Límites de herramientas como guardrail

Un filtro de texto intenta adivinar si un mensaje es peligroso y puede equivocarse en las dos direcciones. Un límite sobre una herramienta no adivina nada: dice cuántas filas, cuánto dinero o cuántas veces, y lo aplica el servidor cuando la llamada llega, venga del mensaje que venga. No pasa por el modelo y no se puede persuadir con palabras.

Esa es su virtud y también su alcance: un límite no sabe si lo que pide el modelo es legítimo, solo si cabe dentro de lo permitido. Por eso su trabajo es acotar el daño máximo posible, y los filtros de texto trabajan sobre la probabilidad de que algo llegue hasta ahí.

Abre la política. Radal tiene cuatro herramientas con efecto: una de lectura, una que abre disputas, una que devuelve dinero y una que envía mensajes por correo. La política dice, para cada una, qué límite lleva. Un hueco de política es una herramienta que puede hacer lo que quiera sin tope.

Busca la herramienta cuya política declara que no tiene ningún límite.

El registro anota el resultado de cada llamada: permitida, pendiente de aprobación o rechazada con su motivo. Una llamada pendiente de aprobación no es un rechazo: espera a una persona. Una rechazada por límite sí lo es, y es la evidencia directa de que el límite hizo su trabajo.

Cuenta las llamadas que el servidor rechazó por un límite.

La columna «origen» del registro dice de dónde salió la orden: de la conversación con el cliente o de un documento adjunto. Una llamada que nace de un adjunto es la señal de inyección indirecta que ya conoces de otros módulos: texto que el asistente leyó como dato y trató como instrucción.

Lo que decide qué ocurre después de eso es la política: si hay límite, la llamada se frena; si no lo hay, se ejecuta. Busca la llamada de origen adjunto.

La llamada permitida salió hacia una dirección externa. Una corrección que depende de que el modelo «se porte bien» no sirve, porque ese es justo el punto débil. La que sirve es de la misma clase que los otros límites: el servidor restringe a qué direcciones puede escribir esa herramienta y pide confirmación a una persona cuando el destino no es el registrado, sin importar el origen de la orden.